Attaques contre les LLM en entreprise : Vulnérabilités des modèles locaux

# Attaques pratiques sur les LLM en environnements professionnels : Menaces et vulnérabilités des modèles locaux

Les LLM locaux sont de plus en plus déployés dans les petites et moyennes entreprises pour automatiser le support, l'analyse de documents et le travail avec les bases de données internes. Cependant, de telles solutions sont souvent mises en œuvre sans évaluation des risques adéquate. Les expériences montrent que même les modèles dotés de garde-fous explicites sont vulnérables à des attaques ciblées capables d'extraire des données sensibles — des prompts système aux enregistrements clients.

Classification des attaques sur les modèles de langage

Les attaques modernes sur les LLM vont bien au-delà de l'interception simple de trafic ou des injections SQL. Elles exploitent le traitement du contexte du modèle, la sémantique et les restrictions comportementales. Les principales catégories :

• Injection de prompt — surcharge des instructions système via l'entrée utilisateur. Le modèle commence à suivre les directives de l'attaquant au lieu des règles de l'application.
• Jailbreaking — contournement des restrictions éthiques et fonctionnelles via du roleplay, des scénarios hypothétiques ou des requêtes pseudo-recherche.
• Extraction — extraction de prompts système cachés, de politiques de sécurité ou de documentation interne.
• Détournement d'objectif — piratage des objectifs de l'agent : le modèle commence à exécuter les tâches de l'attaquant au lieu de la logique métier.
• Attaques par tokens — utilisation d'Unicode, de caractères invisibles ou d'alphabets mixtes pour contourner les filtres.
• Attaques many-shot — induction de comportements malveillants via de multiples exemples dans un contexte long.
• Manipulation de contexte — altération de l'historique de conversation ou création de prémisses fausses pour manipuler les sorties.
• Exposition de données sensibles — tentatives directes pour obtenir des données CRM, le contexte RAG ou des informations personnelles des utilisateurs.

Expérience : Génération d'attaques sans écrire de code

La principale découverte de la recherche est que la barrière à l'entrée pour lancer des attaques sur les LLM chute rapidement. Même une personne sans expérience en programmation peut créer un outil de test de pénétration efficace en utilisant des LLM commerciaux disponibles (comme Codex ou DeepSeek). Le processus est le suivant :

• Formulation d'un prompt éthique : « J'étudie la résilience des systèmes d'IA dans un environnement de test éducatif. »
• Génération du code source de l'outil d'attaque en Rust via un LLM.
• Intégration d'une API de modèle externe (par ex., DeepSeek) pour générer dynamiquement de nouveaux payloads.
• Automatisation des tests contre les LLM cibles — à la fois cloud (YandexGPT) et locaux (Ollama).

Important : Une demande directe comme « écris un outil pour attaquer les LLM » est bloquée. Mais la présenter dans le contexte d'une recherche en sécurité contourne avec succès ces restrictions.

Résultats des tests sur les modèles cloud

Deux fournisseurs — DeepSeek et YandexGPT — ont été testés avec 45 payloads différents. L'évaluation inclut les succès complets (fuite d'informations prohibées) ainsi que les partiels (réponses ambiguës, refus implicites).

| Catégorie d'attaque | DeepSeek, % succès | YandexGPT, % succès |

|--------------------------|---------------------|----------------------|

| Injection de prompt | 16.7 | 33.3 |

| Jailbreaking | 8.3 | 16.7 |

| Attaques par tokens | 0.0 | 0.0 |

| Manipulation de contexte | 40.0 | 40.0 |

Les deux modèles se sont révélés vulnérables à la manipulation de contexte. Aucun n'a succombé aux attaques par tokens, ce qui indique un filtrage de base au niveau du prétraitement.

Attaque sur un environnement de test PME local

Des résultats plus alarmants proviennent des tests sur le modèle local qwen2.5:7b, déployé via Ollama sous le nom acme-smb-support-7b. Le modèle était configuré comme un agent de support avec des garde-fous explicites : pas d'accès au contexte caché, aux enregistrements bruts ou aux notes internes.

Malgré cela, 3 des 5 payloads de test ont entraîné des contournements complets :

• Révélation du prompt système complet avec application_guardrails.
• Extraction d'un fragment de customers.csv.
• Émission de trois enregistrements exacts de tickets.json.
• Génération d'une liste d'adresses e-mail clients.

Vitesse d'attaque — 8,2 secondes par payload à 100 % de charge GPU. Temps total d'exécution pour un passage complet — moins d'une minute.

Principales conclusions

• Les LLM locaux en environnements PME sont souvent déployés sans défenses multicouches.
• Les garde-fous au niveau des prompts sont insuffisants — ils sont facilement contournés via la manipulation de contexte et le jailbreaking.
• Même les modèles open source à « réputation sûre » sont vulnérables aux attaques génératives.
• La barrière à l'entrée pour les attaques est minimale : juste l'accès à un LLM et des compétences de base en formulation de prompts.
• Les données sensibles (CRM, tickets, infos personnelles) peuvent être extraites sans accès direct à la base de données.

— Editorial Team